Zgoda na przetwarzanie danych osobowych — darmowe wzory RODO

Czym jest zgoda na przetwarzanie danych osobowych według RODO?

Zgoda na przetwarzanie danych osobowych to dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, w którym osoba przyzwala na przetwarzanie jej danych. Definicję tę zawiera art. 4 pkt 11 RODO, a szczegółowe warunki jej wyrażania reguluje art. 7 RODO. W praktyce oznacza to, że administrator danych nie może domniemywać zgody z milczenia, z wstępnie zaznaczonych okienek ani z bezczynności osoby, której dane dotyczą.

Zgoda stanowi jedną z sześciu podstaw prawnych przetwarzania danych wymienionych w art. 6 ust. 1 RODO. Nie jest ona jedyną ani nadrzędną podstawą — pracodawca lub usługodawca powinien najpierw sprawdzić, czy przetwarzanie nie wynika z innej przesłanki (np. wykonania umowy lub obowiązku prawnego). Dopiero gdy żadna inna podstawa nie znajduje zastosowania, należy sięgnąć po zgodę. Takie podejście jest rekomendowane przez Urząd Ochrony Danych Osobowych (UODO) i pozwala unikać sytuacji, w której cofnięcie zgody uniemożliwi realizację kluczowych procesów.

Warto wiedzieć, że zgoda może być wyrażona w dowolnej formie — pisemnie, elektronicznie (np. kliknięcie checkboxa) lub ustnie — o ile administrator jest w stanie wykazać, że osoba ją wyraziła. W kontekście zatrudnienia forma pisemna jest jednak zdecydowanie bezpieczniejsza, ponieważ stanowi trwały dowód w razie kontroli UODO lub sporu sądowego.

Kiedy zgoda na przetwarzanie danych jest potrzebna, a kiedy nie?

Nie każde przetwarzanie danych wymaga zgody. Art. 6 ust. 1 RODO wymienia sześć równorzędnych podstaw prawnych, a zgoda jest tylko jedną z nich. Zbieranie zgody tam, gdzie istnieje inna podstawa prawna, jest błędem — wprowadza osobę w błąd co do jej rzeczywistych praw i może zostać zakwestionowane przez organ nadzorczy. Poniższa tabela pokazuje najczęstsze sytuacje:

Sytuacja	Czy zgoda jest potrzebna?	Właściwa podstawa prawna
Przetwarzanie danych pracownika w celu naliczenia wynagrodzenia	Nie	Obowiązek prawny (art. 6 ust. 1 lit. c)
Wysyłka newslettera marketingowego	Tak	Zgoda (art. 6 ust. 1 lit. a)
Realizacja zamówienia w sklepie internetowym	Nie	Wykonanie umowy (art. 6 ust. 1 lit. b)
Publikacja wizerunku pracownika na stronie firmowej	Tak	Zgoda (art. 6 ust. 1 lit. a)
Prowadzenie akt osobowych	Nie	Obowiązek prawny (art. 6 ust. 1 lit. c)
Przetwarzanie danych biometrycznych do kontroli dostępu	Tak	Wyraźna zgoda (art. 9 ust. 2 lit. a)
Monitoring wizyjny w zakładzie pracy	Nie	Prawnie uzasadniony interes (art. 6 ust. 1 lit. f)

Szczególna sytuacja dotyczy danych biometrycznych w miejscu pracy — ich przetwarzanie wymaga wyraźnej zgody pracownika i podlega dodatkowym ograniczeniom wynikającym z art. 9 RODO. Więcej na ten temat przeczytasz w artykule Przetwarzanie danych biometrycznych w miejscu pracy — co mówi RODO?.

Jakie warunki musi spełniać zgoda, aby była ważna?

Art. 7 RODO oraz wytyczne Europejskiej Rady Ochrony Danych (EROD) precyzują cztery cechy prawidłowej zgody. Zgoda, która nie spełnia choćby jednego z tych wymogów, jest nieważna z mocy prawa, a przetwarzanie na jej podstawie — bezprawne.

• Dobrowolność — osoba nie może ponosić negatywnych konsekwencji odmowy wyrażenia zgody. W relacji pracownik–pracodawca dobrowolność jest szczególnie trudna do wykazania, dlatego UODO zaleca ostrożność przy powoływaniu się na zgodę w kontekście zatrudnienia.
• Konkretność — zgoda musi dotyczyć określonego celu przetwarzania. Zgoda na „wszelkie cele" jest nieważna. Jedna zgoda może obejmować kilka konkretnie wskazanych celów (art. 6 ust. 1 lit. a RODO mówi o „jednym lub większej liczbie określonych celów"), ale jeśli osoba nie może zgodzić się na jeden cel bez drugiego, zgoda traci przymiot dobrowolności — dlatego przy celach niezwiązanych ze sobą bezpieczniej zbierać zgody osobno (osobne pola wyboru).
• Świadomość — osoba musi wiedzieć, komu przekazuje dane, w jakim celu i jak długo będą przetwarzane. Klauzula informacyjna powinna być napisana prostym, zrozumiałym językiem.
• Jednoznaczność — zgoda musi być wyrażona w formie oświadczenia lub wyraźnego działania potwierdzającego (np. zaznaczenie checkboxa). Milczenie, wstępnie zaznaczone pola lub brak reakcji nie stanowią zgody.

Aktualizacja 12 października 2026 r.: poprawiono informację o zgodzie obejmującej kilka celów (art. 6 ust. 1 lit. a RODO); we wzorach DOCX/PDF dodano pola na dane administratora, inspektora ochrony danych i okres przechowywania (art. 13 RODO).

Ważne jest również, że zgoda musi być możliwa do cofnięcia w każdym momencie, a wycofanie zgody powinno być równie łatwe jak jej wyrażenie. Administrator ma obowiązek poinformować o tym prawie przed uzyskaniem zgody.

Jakie elementy powinna zawierać klauzula zgody na przetwarzanie danych?

Prawidłowo skonstruowana klauzula zgody musi zawierać kilka obowiązkowych elementów. Pominięcie któregokolwiek z nich może skutkować uznaniem zgody za nieważną podczas kontroli UODO. Poniższa tabela przedstawia wymagane i rekomendowane składniki klauzuli:

Element klauzuli	Obowiązkowy / Rekomendowany	Przykład
Dane administratora (nazwa, adres, kontakt)	Obowiązkowy	„Administratorem danych jest XYZ Sp. z o.o., ul. Przykładowa 1, Warszawa"
Cel przetwarzania	Obowiązkowy	„w celu przeprowadzenia procesu rekrutacji na stanowisko..."
Zakres przetwarzanych danych	Obowiązkowy	„imię, nazwisko, adres e-mail, numer telefonu"
Podstawa prawna	Obowiązkowy	„na podstawie art. 6 ust. 1 lit. a RODO"
Informacja o prawie cofnięcia zgody	Obowiązkowy	„Zgoda może zostać cofnięta w dowolnym momencie..."
Okres przechowywania danych	Obowiązkowy	„Dane będą przetwarzane przez okres 12 miesięcy od zakończenia rekrutacji"
Dane kontaktowe IOD	Rekomendowany	„Kontakt z Inspektorem Ochrony Danych: iod@firma.pl"
Informacja o odbiorcach danych	Rekomendowany	„Dane mogą być przekazywane podmiotom obsługującym systemy IT administratora"

Klauzula powinna być sformułowana prostym językiem — bez żargonu prawniczego i bez zdań wielokrotnie złożonych. UODO wielokrotnie podkreślał, że przejrzystość jest jedną z podstawowych zasad RODO. Gotowy wzór klauzuli zgody na przetwarzanie danych do pobrania znajdziesz poniżej na tej stronie.

Jak wygląda zgoda na przetwarzanie danych w procesie rekrutacji?

W procesie rekrutacji pracodawca przetwarza dane kandydatów na podstawie dwóch przesłanek. Dane wymienione w art. 22¹ § 1 Kodeksu pracy (imię, nazwisko, data urodzenia, dane kontaktowe, wykształcenie, kwalifikacje, przebieg dotychczasowego zatrudnienia) są przetwarzane na podstawie obowiązku prawnego — zgoda nie jest wymagana. Natomiast wszelkie dodatkowe informacje przekazane z inicjatywy kandydata (np. zdjęcie, hobby, dodatkowe certyfikaty) wymagają zgody.

Częstym błędem jest zamieszczanie w CV klauzuli „Wyrażam zgodę na przetwarzanie moich danych osobowych..." bez wskazania konkretnego administratora i celu. Taka ogólna formuła nie spełnia wymogów RODO. Prawidłowa klauzula w CV powinna wskazywać nazwę firmy i cel przetwarzania, np.: „Wyrażam zgodę na przetwarzanie moich danych osobowych przez [nazwa firmy] w celu przeprowadzenia rekrutacji na stanowisko [nazwa stanowiska], zgodnie z art. 6 ust. 1 lit. a RODO".

Jeśli kandydat chce, aby jego dane były przechowywane na potrzeby przyszłych rekrutacji, powinien wyrazić na to osobną zgodę. Bez niej pracodawca ma obowiązek usunąć dane niezwłocznie po zakończeniu procesu rekrutacyjnego. Dane kandydatów warto gromadzić za pomocą ustandaryzowanego kwestionariusza osobowego, który ułatwia kontrolę zakresu zbieranych informacji.

Czy pracodawca może wymagać zgody na przetwarzanie danych od pracownika?

Nie — zgoda z definicji musi być dobrowolna, a relacja pracownik–pracodawca jest z natury nierównorzędna. UODO i Europejska Rada Ochrony Danych wielokrotnie wskazywały, że w kontekście zatrudnienia należy zachować szczególną ostrożność przy powoływaniu się na zgodę jako podstawę przetwarzania. Pracownik, który obawia się negatywnych konsekwencji (np. braku awansu, pogorszenia relacji), nie wyraża zgody w sposób dobrowolny.

W większości przypadków dane pracownicze są przetwarzane na podstawie obowiązku prawnego (Kodeks pracy, przepisy podatkowe i ubezpieczeniowe) lub wykonania umowy o pracę. Zgoda pracownika może być wymagana jedynie w sytuacjach wykraczających poza obowiązki wynikające z przepisów — na przykład przy publikacji wizerunku na stronie firmowej, przetwarzaniu danych biometrycznych czy udostępnianiu danych do celów marketingowych pracodawcy.

Warto pamiętać, że nawet w przypadku systemów rejestracji czasu pracy online pracodawca nie potrzebuje zgody pracownika na przetwarzanie danych związanych z ewidencją — prowadzenie ewidencji czasu pracy jest obowiązkiem prawnym wynikającym z art. 149 Kodeksu pracy.

Jak cofnąć zgodę na przetwarzanie danych i jakie są tego skutki?

Zgodnie z art. 7 ust. 3 RODO osoba, której dane dotyczą, ma prawo cofnąć zgodę w dowolnym momencie. Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania, które miało miejsce przed jej wycofaniem — oznacza to, że administrator nie musi „cofać" działań podjętych legalnie na podstawie wcześniejszej zgody.

Procedura cofnięcia powinna być równie prosta jak procedura wyrażenia zgody. Jeśli zgoda została wyrażona jednym kliknięciem na stronie internetowej, to jej wycofanie nie powinno wymagać wysyłania listu poleconego. W praktyce administrator powinien udostępnić co najmniej jeden z następujących kanałów: formularz na stronie, adres e-mail, numer telefonu lub opcja w panelu klienta.

Po cofnięciu zgody administrator ma obowiązek zaprzestać przetwarzania danych w celu, na który zgoda została udzielona. Jeśli dane nie są przetwarzane na żadnej innej podstawie prawnej, powinny zostać usunięte. Należy pamiętać, że cofnięcie zgody nie oznacza automatycznie prawa do usunięcia wszystkich danych — część z nich może być przechowywana na podstawie innych przesłanek (np. obowiązku archiwizacyjnego).

Zgoda kandydata na przetwarzanie danych to jeden z dokumentów towarzyszących rekrutacji, ale zakres danych, których pracodawca może żądać, wynika wprost z art. 22¹ Kodeksu pracy i nie wymaga zgody. Kiedy zgoda jest potrzebna, a kiedy nie, wyjaśniamy wyżej — całą procedurę przyjęcia pracownika wraz z terminami opisaliśmy w przewodniku zatrudnienie pracownika krok po kroku.

Jak wypełnić zgodę na przetwarzanie danych osobowych

Do pobrania są trzy wzory: zgoda kandydata do pracy, zgoda pracownika i zgoda na wykorzystanie wizerunku. Zgoda jest potrzebna tylko do danych spoza katalogu z art. 22¹ KP — dane niezbędne do rekrutacji i zatrudnienia pracodawca przetwarza na podstawie przepisów prawa.

1. 1

   Wybierz właściwy wzór

   Zgodę kandydata stosuj do danych z dokumentów aplikacyjnych wykraczających poza art. 22¹ § 1 KP, np. zdjęcia w CV. Zgodę pracownika — do dodatkowych danych w trakcie zatrudnienia, a zgodę na wizerunek — gdy zdjęcia lub nagrania pracownika mają być rozpowszechniane, co wymaga jego zezwolenia (art. 81 ust. 1 prawa autorskiego).

2. 2

   Wpisz miejscowość, datę oraz imię i nazwisko

   Uzupełnij pola „Miejscowość, data” i „Imię i nazwisko” osoby, która wyraża zgodę. Data ma znaczenie dowodowe, bo administrator musi być w stanie wykazać, że zgodę uzyskał (art. 7 ust. 1 RODO).

3. 3

   Określ zakres i cel przetwarzania

   We wzorze dla pracownika wpisz konkretnie, jakich danych dotyczy zgoda (np. zdjęcia w firmowym intranecie) i w jakim celu będą przetwarzane. Ogólna formuła „na wszelkie cele” nie spełnia warunku zgody konkretnej (art. 4 pkt 11 RODO).

4. 4

   Zaznacz dodatkowe zgody i kanały

   We wzorze kandydata zaznacz zgodę na przyszłe rekrutacje tylko wtedy, gdy kandydat tego chce, i wpisz okres w miesiącach. We wzorze wizerunkowym zaznacz wyłącznie kanały, na które osoba się zgadza — zgoda obejmuje tylko zaznaczone pola, a pole zaznaczone z góry przez pracodawcę zgodą nie jest.

5. 5

   Uzupełnij informację o administratorze

   Każdy wzór ma pola na dane administratora, inspektora ochrony danych i okres przechowywania. Wpisz nazwę i dane kontaktowe pracodawcy jako administratora, dane inspektora ochrony danych, jeśli został wyznaczony, oraz okres przechowywania danych — te informacje trzeba podać przy zbieraniu danych (art. 13 RODO).

6. 6

   Podpisz zgodę i przechowuj ją

   Osoba wyrażająca zgodę składa czytelny podpis. Odmowa lub wycofanie zgody nie może powodować negatywnych konsekwencji dla kandydata ani pracownika (art. 22¹a § 2 KP), a wycofanie musi być równie łatwe jak jej wyrażenie (art. 7 ust. 3 RODO). Podpisany dokument przechowuj tak długo, jak przetwarzasz dane na jego podstawie.

Najczęściej zadawane pytania

Czy zgoda na przetwarzanie danych osobowych musi być pisemna?

Nie — RODO nie wymaga formy pisemnej. Zgoda może być wyrażona ustnie, elektronicznie (np. zaznaczenie checkboxa) lub w inny sposób, o ile administrator jest w stanie wykazać, że została udzielona. W praktyce jednak forma pisemna lub elektroniczna z zapisem potwierdzenia jest zdecydowanie bezpieczniejsza, ponieważ stanowi dowód w razie kontroli UODO lub sporu sądowego.

Czy mogę cofnąć zgodę na przetwarzanie danych w każdym momencie?

Tak — art. 7 ust. 3 RODO gwarantuje prawo cofnięcia zgody w dowolnym momencie. Wycofanie zgody nie wpływa na legalność przetwarzania, które miało miejsce przed jej cofnięciem. Administrator musi zapewnić, że procedura wycofania zgody jest równie prosta jak procedura jej wyrażenia — np. jedno kliknięcie lub krótki e-mail.

Jakie dane osobowe można przetwarzać bez zgody?

Dane można przetwarzać bez zgody, gdy istnieje inna podstawa prawna z art. 6 ust. 1 RODO: wykonanie umowy (np. realizacja zamówienia), obowiązek prawny (np. prowadzenie akt osobowych, naliczanie podatków), ochrona żywotnych interesów osoby, wykonanie zadania w interesie publicznym lub prawnie uzasadniony interes administratora (np. monitoring wizyjny w zakładzie pracy).

Czy pracodawca potrzebuje zgody pracownika na przetwarzanie jego danych?

W większości przypadków nie. Dane pracownicze są przetwarzane na podstawie obowiązku prawnego (Kodeks pracy, przepisy podatkowe i ubezpieczeniowe) lub wykonania umowy o pracę. Zgoda jest wymagana jedynie w sytuacjach wykraczających poza te obowiązki — np. przy publikacji wizerunku na stronie firmowej, przetwarzaniu danych biometrycznych czy udostępnianiu danych w celach marketingowych.

Co grozi za przetwarzanie danych bez ważnej zgody?

Przetwarzanie danych bez ważnej podstawy prawnej (w tym bez prawidłowej zgody, gdy jest wymagana) stanowi naruszenie RODO. UODO może nałożyć karę administracyjną do 20 milionów euro lub 4% rocznego obrotu przedsiębiorstwa — w zależności od tego, która kwota jest wyższa. Dodatkowo osoba, której dane zostały naruszone, może dochodzić odszkodowania na drodze cywilnej.

Jak powinna wyglądać klauzula zgody w CV?

Prawidłowa klauzula w CV powinna wskazywać konkretnego administratora i cel przetwarzania, np.: „Wyrażam zgodę na przetwarzanie moich danych osobowych przez [nazwa firmy] w celu przeprowadzenia rekrutacji na stanowisko [nazwa], zgodnie z art. 6 ust. 1 lit. a RODO". Ogólna formułka bez wskazania administratora nie spełnia wymogów RODO i może być uznana za nieważną.

Czy jedna zgoda może obejmować kilka celów przetwarzania?

Tak, jeśli każdy cel jest konkretnie wskazany — art. 6 ust. 1 lit. a RODO dopuszcza zgodę na przetwarzanie „w jednym lub większej liczbie określonych celów”. Niedopuszczalna jest ogólna zgoda „na wszelkie cele”. Gdy cele są od siebie niezależne (np. przyszłe rekrutacje i publikacja wizerunku), osoba powinna móc zgodzić się na jeden, a odmówić drugiego — dlatego w praktyce stosuje się osobne pola wyboru dla każdego celu (art. 4 pkt 11 i art. 7 ust. 2 RODO, motyw 43). Tak skonstruowane są wzory do pobrania.

Czy wstępnie zaznaczony checkbox jest ważną zgodą?

Nie. Trybunał Sprawiedliwości UE w wyroku C-673/17 (Planet49) jednoznacznie orzekł, że wstępnie zaznaczone pole wyboru nie stanowi ważnej zgody w rozumieniu RODO. Zgoda musi być wyrażona przez aktywne działanie — np. samodzielne zaznaczenie checkboxa przez użytkownika. Milczenie, brak reakcji lub domyślne ustawienia nie mogą być traktowane jako zgoda.

Jak długo ważna jest zgoda na przetwarzanie danych?

RODO nie określa maksymalnego okresu ważności zgody. Zgoda obowiązuje do momentu jej cofnięcia lub do realizacji celu, na który została wyrażona. Administrator powinien jednak okresowo weryfikować aktualność zgód i rozważyć ich odnawianie, zwłaszcza gdy od wyrażenia zgody upłynął długi czas lub gdy zmieniły się okoliczności przetwarzania.

Czy zgoda na przetwarzanie danych szczególnych kategorii różni się od zwykłej zgody?

Tak — przetwarzanie danych szczególnych kategorii (np. dane o zdrowiu, dane biometryczne, pochodzenie etniczne, poglądy polityczne) wymaga zgody „wyraźnej" w rozumieniu art. 9 ust. 2 lit. a RODO. Oznacza to wyższy standard niż przy zwykłej zgodzie — oświadczenie musi być jednoznaczne, a administrator powinien wyraźnie wskazać, że chodzi o dane wrażliwe, i szczegółowo opisać cel ich przetwarzania.

Jakie prawa przysługują osobie, której dane są przetwarzane?

Osoba, której dane dotyczą, ma prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, wniesienia sprzeciwu oraz prawo do niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu (art. 15–22 RODO). Zgodę może wycofać w dowolnym momencie (art. 7 ust. 3 RODO). Jeśli uważa, że jej dane są przetwarzane niezgodnie z prawem, może wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (art. 77 RODO).

Czy trzeba wyrazić zgodę na przetwarzanie danych w celach marketingowych?

Nie, zgoda jest zawsze dobrowolna. Wobec przetwarzania danych na potrzeby marketingu bezpośredniego można w każdej chwili wnieść sprzeciw, po którym danych nie wolno już wykorzystywać w tym celu (art. 21 ust. 2 i 3 RODO). Osobnej, uprzedniej zgody wymaga natomiast wysyłanie informacji handlowych, np. e-mailem, SMS-em lub telefonicznie, przy użyciu urządzeń końcowych i automatycznych systemów wywołujących (art. 398 ust. 1 Prawa komunikacji elektronicznej).

Jakie konsekwencje może mieć odmowa wyrażenia zgody?

Odmowa zgody nie powinna prowadzić do negatywnych skutków, jeśli przetwarzanie nie jest niezbędne do celu, np. wykonania umowy — od tego zależy ocena dobrowolności zgody (art. 7 ust. 4 RODO). W zatrudnieniu brak lub wycofanie zgody nie może być podstawą niekorzystnego traktowania kandydata ani pracownika, w szczególności odmowy zatrudnienia czy wypowiedzenia umowy (art. 22¹a § 2 KP). Gdy podanie danych jest wymogiem ustawowym lub umownym, administrator informuje o skutkach ich niepodania.

Jakie informacje trzeba podać, zbierając zgodę na przetwarzanie danych?

Administrator podaje m.in. swoją tożsamość i dane kontaktowe, kontakt do inspektora ochrony danych (jeśli go wyznaczył), cele i podstawę prawną przetwarzania, odbiorców danych, okres przechowywania, przysługujące prawa oraz prawo do skargi do organu nadzorczego (art. 13 ust. 1 i 2 RODO). Przed wyrażeniem zgody osoba musi też wiedzieć, że może ją wycofać w dowolnym momencie (art. 7 ust. 3 RODO), a prośba o zgodę musi być wyraźnie oddzielona od innych treści (art. 7 ust. 2 RODO).